Texte de reprise, à relire par Sanjco. Ne remplace pas un avis juridique.
Depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données impose de nouvelles conditions aux entreprises suisses. Beaucoup d'organisations les ont découvertes en même temps qu'un audit ou qu'une demande de client.
Ce texte n'est pas un avis juridique. C'est un point de départ pratique, du côté des systèmes d'information.
La première question n'est pas juridique
Elle est documentaire : où sont vos données personnelles, et qui y accède ?
Tant que la réponse est « un peu partout », aucune politique ne tiendra. Les données de vos collaborateurs, de vos clients et de vos candidats se trouvent dans l'ERP, dans les fichiers de salaires, dans les messageries, dans un tableur partagé et dans un dossier oublié sur le serveur.
Par où nous commençons
Nos mandats sur ce sujet suivent en général quatre temps.
- Un audit et des recommandations. Nous établissons ce que vous détenez, à quel endroit, et depuis combien de temps.
- L'analyse des données sensibles contenues dans l'ERP et dans les autres systèmes de gestion.
- Des tests de sécurité sur les accès, suivis de recommandations classées par priorité.
- La mise en place d'une solution documentaire quand elle règle une partie du problème, en centralisant ce qui était dispersé.
Ce que la gestion documentaire apporte
Un coffre documentaire n'est pas une réponse juridique, mais il facilite trois choses que la loi demande.
- Savoir qui a accès à quoi. Les droits suivent le document et son contenu, pas l'emplacement du fichier.
- Savoir qui a consulté quoi. Chaque ouverture et chaque modification sont journalisées.
- Savoir supprimer. Quand une durée de conservation est attachée au document, la purge cesse d'être une opération manuelle et incertaine.
Ce que nous ne faisons pas
Nous ne rédigeons pas votre politique de confidentialité et nous ne nous substituons pas à votre juriste. Nous documentons ce que font vos systèmes, pour que la personne qui rédige travaille sur des faits.
Vous ne savez pas où en est votre organisation sur ce point ? Écrivez-nous pour organiser un audit de vos données, sur une demi-journée, dans vos bureaux.